Sicurezza e licenze

Scalarcut è costruito per negozi con checkout reali, quindi il widget è limitato strettamente ai tuoi domini e al tuo catalogo.

Le chiavi widget sono legate alle tue origini

La tua chiave widget si carica solo sulle origini che registri nel tuo account. Una chiave copiata su un altro dominio semplicemente non viene renderizzata — il widget non può essere incorniciato su un sito che non ti appartiene, e una chiave trapelata non è un embed funzionante altrove.

Quando aggiungi un negozio o un nuovo dominio, aggiungilo alla lista delle origini del tuo account. Nessuna modifica al codice necessaria.

I token sono limitati e ruotati

Il widget e l'API usano token firmati che portano il tuo id aziendale, l'id della chiave widget e il catalogo che possono toccare. I token scadono dopo sette giorni e vengono emessi dal widget al caricamento, così il tuo server non deve mai conservare segreti di lunga durata.

• Il token dell'embed è limitato a una singola azienda e a un catalogo.
• Le chiamate di intento carrello e preventivo validano il token prima di toccare i dati del catalogo.
• L'uso viene registrato per evento, così ogni preventivo e ogni aggiunta al carrello è attribuibile a un negozio.

HTTPS ovunque

Widget, SDK e API sono serviti in HTTPS, e gli URL immagine del catalogo sono accettati solo come HTTPS pubblico. In produzione la pagina madre deve essere HTTPS, in coerenza con il frame sicuro del widget.

Protezioni del frame

La risposta del widget imposta frame-ancestors sulle tue origini registrate. I browser lo impongono tramite l'header Content-Security-Policy, così solo i tuoi domini possono ospitare l'iframe — nessun altro sito può incorniciare il pianificatore, nemmeno con un URL dall'aspetto valido.

Controlli di origine dei messaggi

L'SDK verifica l'origine di ogni postMessage prima di agire, in entrambe le direzioni. Una pagina fuori dalle tue origini registrate non può inviare comandi al widget, e il widget non consegnerà righe carrello a un ascoltatore non affidabile.

L'autorità del checkout resta con te

Sicurezza significa anche che il widget non può fare nulla col denaro. Non conserva credenziali di pagamento, né dati clienti, né un modo per piazzare un ordine. Risolve SKU e quantità; il tuo negozio — con la tua autenticazione, il tuo stock e il tuo fornitore di pagamento — è l'unico posto in cui viene creato un ordine.

Rotazione e revoca

Le chiavi widget possono essere ruotate o revocate dalla dashboard in qualsiasi momento. Una chiave revocata smette di servire immediatamente, e i suoi token smettono di essere validati alla richiesta successiva.